Autenticación

De Wikipedia, la enciclopedia libre

(Redirigido desde Autenticacion)

Saltar a navegación, búsqueda

Autenticación[1]
o autentificación[2]
es el acto de establecimiento o confirmación de algo (o alguien) como auténtico,
es decir que reclama hecho por, o sobre la cosa son verdadero. La autenticación
de un objeto puede significar (pensar) la confirmación de su procedencia,
mientras que la autenticación de una persona a menudo consiste en verificar su
identidad. La autenticación depende de uno o varios factores.

Contenido

1 Definiciones

2 Métodos de
autenticación

3 Características de
autenticación

4 Mecanismo general de
autenticación

5 Control de
acceso

6 Autenticación por
multifactor

7 Autenticación

8 Autenticación de usuarios
en Unix

8.1 Autenticación
clásica

8.1.1 Problemas del
modelo clásico

8.2 Shadow
Password

8.3 Envejecimiento de
contraseñas

8.4 Otros
métodos

9 PAM

9.1 Sintaxis del archivo de
configuración

10 Véase también

11 Enlaces
externos

12 Referencias

[editar]
Definiciones

Autenticación o autentificación, en términos de seguridad de redes de datos, se puede considerar uno de
los tres pasos fundamentales (AAA). Cada uno de ellos es, de forma ordenada:

Autenticación En la seguridad de ordenador, la autenticación es el
proceso de intento de verificar la identidad digital del remitente de una
comunicación como una petición para conectarse. El remitente siendo
autenticado puede ser una persona que usa un ordenador, un ordenador por sí
mismo o un programa del ordenador. En un web de confianza, "autenticación"
es un modo de asegurar que los usuarios son quién ellos dicen que ellos son
- que el usuario que intenta realizar funciones en un sistema es de hecho el
usuario que tiene la autorización para hacer así.

Autorización
Proceso por el cual la red de datos autoriza al usuario identificado a
acceder a determinados recursos de la misma.

Auditoría
Mediante la cual la red o sistemas asociados registran todos y cada uno de
los accesos a los recursos que realiza el usuario autorizados o no.

El problema de la autorización a menudo, es idéntico a la de autenticación;
muchos protocolos de seguridad extensamente adoptados estándar, regulaciones
obligatorias, y hasta estatutos están basados en esta asunción. Sin embargo, el
uso más exacto describe la autenticación como el proceso de verificar la
identidad de una persona, mientras la autorización es el proceso de verificación
que una persona conocida tiene la autoridad para realizar una cierta operación.
La autenticación, por lo tanto, debe preceder la autorización. Para distinguir
la autenticación de la autorización de término estrechamente relacionada,
existen unas notaciones de taquigrafía que son: A1 para la autenticación y A2
para la autorización que de vez en cuando son usadas,también existen los
términos AuthN y AuthZ que son usados en algunas comunidades.

[editar]
Métodos de
autenticación

Los métodos de autenticación están en función de lo que utilizan para la
verificación y estos se dividen en tres categorías:

Sistemas basados en algo conocido. Ejemplo, un password (Unix) o
passphrase (PGP).

Sistemas basados en algo poseído. Ejemplo, una tarjeta de identidad, una
tarjeta
inteligente(smartcard), dispositivo usb tipo epass token,
smartcard o dongle
criptográfico.

Sistemas basados en una característica física del usuario o un acto
involuntario del mismo: Ejemplo, verificación de voz, de escritura, de
huellas, de patrones oculares.

[editar]
Características de
autenticación

Cualquier sistema de identificación ha de poseer unas determinadas
características para ser viable:

Ha de ser fiable con una probabilidad muy elevada (podemos hablar de
tasas de fallo de en los sistemas menos seguros).

Económicamente factible para la organización (si su precio es superior
al valor de lo que se intenta proteger, tenemos un sistema incorrecto).

Soportar con éxito cierto tipo de ataques.

Ser aceptable para los usuarios, que serán al fin y al cabo quienes lo
utilicen.

[editar]
Mecanismo
general de autenticación

La mayor parte de los sistemas informáticos y redes mantienen de uno u otro
modo una relación de identidades personales (usuarios) asociadas normalmente con
un perfil de seguridad, roles y permisos. La autenticación de usuarios permite a
estos sistemas asumir con una seguridad razonable que quien se está conectando
es quien dice ser para que luego las acciones que se ejecuten en el sistema
puedan ser referidas luego a esa identidad y aplicar los mecanismos de autorización y/o auditoría
oportunos.

El primer elemento necesario (y suficiente estrictamente hablando) por tanto
para la autenticación es la existencia de identidades biunívocamente
identificadas con un identificador único (valga la redundancia). Los
identificadores de usuarios pueden tener muchas formas siendo la más común una
sucesión de caracteres conocida comúnmente como login.

El proceso general de autenticación consta de los siguientes pasos:

El usuario solicita acceso a un sistema.

El sistema solicita al usuario que se autentique.

El usuario aporta las credenciales que le identifican y permiten
verificar la autenticidad de la identificación.

El sistema valida según sus reglas si las credenciales aportadas son
suficientes para dar acceso al usuario o no.

[editar]
Control de acceso

Un ejemplo familiar es el control de acceso. Un sistema informático supuesto
para ser utilizado solamente por aquellos autorizados, debe procurar detectar y
excluir el desautorizado. El acceso a él por lo tanto es controlado generalmente
insistiendo en un procedimiento de la autentificación para establecer con un
cierto grado establecido de confianza la identidad del usuario, por lo tanto
concediendo esos privilegios como puede ser autorizado a esa identidad. Los
ejemplos comunes del control de acceso que implican la autentificación
incluyen:

Retirar de dinero de un cajero automático.

Control de un computador remoto sin Internet.

Uso de un sistema Internet banking.

Sin embargo, observar que mucha de la discusión sobre estos asuntos es
engañosa porque los términos se utilizan sin la precisión. Parte de esta
confusión puede ser debido “al tono de la aplicación de ley” de mucha de la
discusión. Ninguna computadora, programa de computadora, o poder del usuario de
la computadora “confirman la identidad” de otro partido. No es posible
“establece” o “probar” una identidad, cualquiera. Hay ediciones difíciles que
están al acecho debajo de qué aparece ser una superficie directa.

Es solamente posible aplicar una o más pruebas que, si están pasadas, se han
declarado previamente para ser suficientes proceder. El problema es determinarse
qué pruebas son suficientes, y muchos tales son inadecuadas. Tienen sido muchos
casos de tales pruebas que son spoofed con éxito; tienen por su falta
demostrada, ineludible, ser inadecuadas. Mucha gente continúa mirando las
pruebas -- y la decisión para mirar éxito en pasar -como aceptable, y para
culpar su falta en “sloppiness” o “incompetencia” de parte alguien. El problema
es que la prueba fue supuesta para trabajar en la práctica -- no bajo
condiciones ideales de ningún sloppiness o incompetencia-y no. Es la prueba que
ha fallado en tales casos. Considerar la caja muy común de un email de la
confirmación a el cual deba ser contestado para activar una cuenta en línea de
una cierta clase. Puesto que el email se puede arreglar fácilmente para ir a o
para venir de direcciones falsas y untraceable, éste es justo sobre la menos
autentificación robusta posible. El éxito en pasar esta prueba significa poco,
sin consideración alguna hacia sloppiness o incompetencia.

[editar]
Autenticación por
multifactor

Los factores de la autenticación para los seres humanos se clasifican,
generalmente, en cuatro casos:

Algo que el usuario es (ejemplo, la huella digital o el patrón
retiniano), la secuencia de ADN (hay definiciones clasificadas de cuál es
suficiente), el patrón de la voz (otra vez varias definiciones), el
reconocimiento de la firma, las señales bio-eléctricas únicas producidas
por el cuerpo vivo, u otro identificador biométrico).

Algo que el usuario tiene (ejemplo, tarjeta de la identificación,
símbolo de la seguridad, símbolo del software o teléfono celular)

Algo que el usuario sabe (ejemplo, una contraseña, una frase o un
número de identificación personal (el PIN) del paso).

Algo que el usuario hace(ejemplo, reconocimiento de voz, firma, o el
paso).

Autenticación mediante dos factores "algo que tengo" la llave + "algo
que se" un número de PIN (token criptográfico)

Autenticación triple factor "algo que tengo" el dispositivo
criptográfico + "algo que se" una clave de autenticación tipo PIN (al
token criptográfico) + "quién soy" la huella dactilar que me permite
autenticarme al dispositivo de forma unívoca.

Una combinación de métodos se utiliza a veces, ejemplo, una tarjeta de
banco y un PIN, en este caso se utiliza el término “autenticación del
dos-factor”. Históricamente, las huellas digitales se han utilizado como el
método más autoritario de autenticación, pero procesos legales recientes en los
E.E.U.U. y a otra parte han levantado dudas fundamentales sobre fiabilidad de la
huella digital. Otros métodos biométricos son prometedores (las exploraciones
retinianas y de la huella digital son un ejemplo), pero han demostrado ser
fácilmente engañados en la práctica. En un contexto de los datos de la
computadora, se han desarrollado los métodos criptográficos (véase la
autenticación digital de la firma y de la desafío-respuesta) que actualmente no
pueden ser engañados si (y solamente si) la clave del autor no se ha
comprometido. Que el autor (o cualquier persona con excepción de un atacante)
sabe (o no sabe) sobre un compromiso es inaplicable. No se sabe si estos métodos
criptográficos basados en la autenticación son probablemente seguros puesto que
los progresos matemáticos inesperados pueden hacerlos vulnerables al ataque en
futuro. Si eso llega a ocurrir, pondría en cuestión mucho de la autenticación en
el pasado. En particular, un contrato digital firmado podría ser cuestionado en
cuanto se descubriera un nuevo ataque contra la criptografía subyacente a la
firma.

[editar]
Autenticación

El Authentication fue definido por Arnnei Speiser en 2003 mientras que la Web
basó el servicio que proporciona en la autentificación de usuarios finales que
tienen acceso (Lo gin) a un servicio de Internet. La Autentificación es similar
a la verificación de la tarjeta de crédito para los Web site del eCommerce. La
verificación es hecha por un servicio dedicado que reciba la entrada y vuelva la
indicación del éxito o de fallo. Por ejemplo, un usuario final desea entrar en
su Web site. Él consigue entrar en una página Web de la conexión que requiere
para acceso, su user-id y una contraseña o a los sitios asegurados y su
contraseña a la vez. La información se transmite al servicio del eAuthentication
como pregunta. Si el servicio vuelve éxito, permiten al usuario final entrar en
el servicio de esa página Web con sus privilegios como usuario.

[editar]
Autenticación
de usuarios en Unix

[editar]
Autenticación
clásica

En un sistema Unix habitual cada usuario posee un nombre de entrada al
sistema o login y una clave o password; ambos datos se almacenan generalmente en
el fichero /etc/passwd. Este archivo contiene una línea por usuario donde se
indica la información necesaria para que los usuarios puedan conectar al sistema
y trabajar en él, separando los diferentes campos mediante `:'.

Al contrario de lo que mucha gente cree, Unix no es capaz de distinguir a sus
usuarios por su nombre de entrada al sistema. Para el sistema operativo lo que
realmente distingue a una persona de otra (o al menos a un usuario de otro) es
el UID del usuario en cuestión; el login es algo que se utiliza principalmente
para comodidad de las personas (obviamente es más fácil acordarse de un nombre
de entrada como toni que de un UID como 2643, sobre todo si se
tienen cuentas en varias máquinas, cada una con un UID diferente).

Para cifrar las claves de acceso de sus usuarios, el sistema operativo Unix
emplea un criptosistema irreversible que utiliza la función estándar de C crypt,
basada en el algoritmo DES. Para una descripción exhaustiva del funcionamiento
de crypt. Esta función toma como clave los ocho primeros caracteres de la
contraseña elegida por el usuario (si la longitud de ésta es menor, se completa
con ceros) para cifrar un bloque de texto en claro de 64 bits puestos a cero;
para evitar que dos passwords iguales resulten en un mismo texto cifrado, se
realiza una permutación durante el proceso de cifrado elegida de forma
automática y aleatoria para cada usuario, basada en un campo formado por un
número de 12 bits (con lo que conseguimos 4096 permutaciones diferentes) llamado
salt. El cifrado resultante se vuelve a cifrar utilizando la contraseña del
usuario de nuevo como clave, y permutando con el mismo salt, repitiéndose el
proceso 25 veces. El bloque cifrado final, de 64 bits, se concatena con dos bits
cero, obteniendo 66 bits que se hacen representables en 11 caracteres de 6 bits
cada uno y que, junto con el salt, pasan a constituir el campo password del
fichero de contraseñas, usualmente /etc/passwd. Así, los dos primeros caracteres
de este campo estarán constituidos por el salt y los 11 restantes por la
contraseña cifrada

[editar]
Problemas del
modelo clásico

Los ataques de texto cifrado escogido constituyen la principal amenaza al
sistema de autenticación de Unix; a diferencia de lo que mucha gente cree, no es
posible descifrar una contraseña, pero es muy fácil cifrar una palabra junto a
un determinado salt, y comparar el resultado con la cadena almacenada en el
fichero de claves. De esta forma, un atacante leerá el fichero /etc/passwd (este
fichero ha de tener permiso de lectura para todos los usuarios si queremos que
el sistema funcione correctamente), y mediante un programa adivinador (o
crackeador) cifrará todas las palabras de un fichero denominado diccionario (un
fichero ASCII con
un gran número de palabras de cualquier idioma o campo de la sociedad: historia
clásica, deporte, cantantes...), comparando el resultado obtenido en este
proceso con la clave cifrada del fichero de contraseñas; si ambos coinciden, ya
ha obtenido una clave para acceder al sistema de forma no autorizada.

[editar]
Shadow Password

Otro método cada día más utilizado para proteger las contraseñas de los
usuarios el denominado Shadow Password u oscurecimiento de contraseñas. La idea
básica de este mecanismo es impedir que los usuarios sin privilegios puedan leer
el fichero donde se almacenan las claves cifradas.

[editar]
Envejecimiento de
contraseñas

En casi todas las implementaciones de Shadow Password actuales se suele
incluir la implementación para otro mecanismo de protección de las claves
denominado envejecimiento de contraseñas (Aging Password). La idea básica de
este mecanismo es proteger los passwords de los usuarios dándoles un determinado
periodo de vida: una contraseña sólo va a ser válida durante un cierto tiempo,
pasado el cual expirará y el usuario deberá cambiarla.

Realmente, el envejecimiento previene más que problemas con las claves
problemas con la transmisión de éstas por la red: cuando conectamos mediante
mecanismos como telnet, ftp o rlogin a un sistema
Unix, cualquier equipo entre el nuestro y el servidor puede leer los paquetes
que enviamos por la red, incluyendo aquellos que contienen nuestro nombre de
usuario y nuestra contraseña.

[editar]
Otros métodos

Algo por lo que se ha criticado el esquema de autenticación de usuarios de
Unix es la longitud, para propósitos de alta seguridad, demasiado corta de sus
claves; lo que hace años era poco más que un planteamiento teórico, actualmente
es algo factible: sin ni siquiera entrar en temas de hardware dedicado,
seguramente demasiado caro para la mayoría de atacantes, con un supercomputador
es posible romper claves de Unix en menos de dos días.

Un método que aumenta la seguridad de nuestras claves frente a ataques de
intrusos es el cifrado mediante la función conocida como bigcrypt() o crypt16(),
que permite longitudes para las claves y los salts más largas que crypt y sin
embargo, aunque se aumenta la seguridad de las claves, el problema que se
presenta aquí es la incompatibilidad con las claves del resto de Unices que
sigan utilizando crypt; este es un problema común con otras aproximaciones que
también se basan en modificar el algoritmo de cifrado, cuando no en utilizar uno
nuevo.

[editar]
PAM

PAM (Pluggable Authentication Module) no es un modelo de autenticación en sí,
sino que se trata de un mecanismo que proporciona una interfaz entre las
aplicaciones de usuario y diferentes métodos de autenticación, tratando de esta
forma de solucionar uno de los problemas clásicos de la autenticación de
usuarios: el hecho de que una vez que se ha definido e implantado cierto
mecanismo en un entorno, es difícil cambiarlo. Mediante PAM podemos comunicar a
nuestra aplicaciones con los métodos de autenticación que deseemos de una forma
transparente, lo que permite integrar las utilidades de un sistema Unix clásico
(login, ftp, telnet...) con esquemas diferentes del habitual password: claves de
un solo uso, biométricos, tarjetas inteligentes...

La gran mayoría de las aplicaciones de linux usan estos métodos (PAM) para
autenticarse frente al sistema, ya que una aplicación preparada para PAM
(PAM-aware) puede cambiar el mecanismo de autenticación que usa sin necesidade
de recompilar los fuentes. Incluso se puede llegar a cambiar el sistema de
autenticación local sin siquiera tocar las aplicaciones existentes.

PAM viene `de serie' en diferentes sistemas Unix, tanto libres como
comerciales, y el nivel de abstracción que proporciona permite cosas tan
interesantes como kerberizar nuestra autenticación (al menos la parte servidora)
sin más que cambiar la configuración de PAM, que se encuentra bien en el fichero
/etc/pam.conf o bien en diferentes archivos dentro del directorio
/etc/pam.d/

PAM trabaja con cuatro tipos separados de tareas de administración:
authentication, account, session, y password. La asociación de del esquema de
administración preferido con el comportamiento de la aplicación se hace mediante
archivos de configuración. Las funciones de administración las hacen módulos que
se especifican en el archivo de configuración. Más adelante se explicara
brevemente la sintaxis del archivo de configuración ya que se va fuera del
alcance de este artículo.

Cuando una aplicación preparada para PAM inicia, se activa su comunicación
con la API de PAM. Entre otras cosas esto fuerza la lectura del archivo de
configuración: /etc/pam.conf. Alternativamente puede ser que se inicie la
lectura de los archivos de configuración bajo /etc/pam.d/ (cuando existe un
archivo de configuración correcto bajo este directorio, se ignora el archivo
/etc/pam.conf)

[editar]
Sintaxis
del archivo de configuración

El archivo (/etc/pam.conf) esta formado por una lista de reglas (típicamente
una por línea). Cada regla es un conjunto de campos separados por espacios (los
tres primeros son case-sensitives):

service type control module-path module-arguments

La sintaxis de los archivos bajo /etc/pam.d/ es igual salvo que no existe el
campo "service". En este caso "service" es el nombre del archivo en el
directorio /etc/pam.d/ (el nombre del archivo debe estar en minúsculas)
Usualmente service es el nombre del servicio o aplicación comúnmente
usado, ejemplo de esto son login, su y ssh.

type especifica a que grupo de administración está asociada la regla.
Las entradas válidas son:

account: este módulo maneja la cuenta sin basarse en autenticación.
Típicamente se usa para restringir/permitir el acceso a un servicio basado
en la hora o quizas desde donde se loguea el usuario (ej.: root solo se
puede loguear desde consola

auth: provee mecanismo de autenticación (el usuario es quien dice ser).

password: este módulo es requerido para modificar la password del
usuario.

session: este módulo esta asociado con hacer tareas previas y/o
posteriores al inicio del servicio mismo (pueden ser cosas como montar un
directorio, activar logueos, etc).

El tercer campo control especifica que hacer si falla el control
aplicado. Existen dos sintaxis para este campo, una sencilla de un campo y otra
que especifica más de un campo dentro de corchetes rectos [] Para la básica, las
opciones son:

required: indica que esta regla debe ser exitosa, de lo contrario el
usuario no es autorizado a correr el servicio. Si falla se devuelve el
control al programa, pero antes se ejecutan todos los módulos.

requisite: es como el required, pero devuelve el control al programa
enseguida de fallar.

sufficient: Si este módulo se verifica, entonces (se devuelve) se le da
el ok al programa y no se sigue verificando los otros módulos.

optional: la falla o no de este módulo es solo importante si es el único
existente.

El cuarto campo module-path especifica el path al módulo PAM asociado
con la regla. Los módulos se encuentran en /lib/security.

El quinto campo module-arguments es un conjunto de cero o más
argumentos pasados al módulo durante su invocación. Los argumentos varían según
el módulo.

La configuración de los archivos de configuración bajo /etc/pam.d/ resulta
ser más flexible (se evita tener una archivo único enorme). Bajo este directorio
se puede encontrar el archivo de confiuración personal de un servicio particular
como ser ssh. La única diferencia entre la sintaxis del archivo /etc/pam.conf es
que no existe el campo service.

[editar]
Véase también

Criptografía

SSH

RADIUS

DIAMETER

Autorización

CAPTCHA

TCP
Wrapper

punto de acceso

wp-login

[editar]
Enlaces externos

Autenticación y autorización.

Autenticación de usuarios.

[editar]
Referencias

↑ Griego:
αυθεντικός = verdadero o genuino, de ' los authentes' = el autor

↑ Con este
mismo sentido se ha creado modernamente el verbo autentificar, que se
considera también válido; Diccionario panhispánico de dudas, autenticar

Obtenido de "http://es.wikipedia.org/wiki/AutenticaciÃ³n"

Categorías:
Redes
informáticas | Seguridad
| Sistemas
de autentificación

Herramientas personales

Registrarse/Entrar

Espacios de nombres

Artículo

Discusión

Variantes

Vistas

Leer

Editar

Ver
historial

Acciones

Buscar

Navegación

Portada

Portal de la
comunidad

Actualidad

Cambios
recientes

Página
aleatoria

Ayuda

Donaciones

Notificar un
error

Imprimir/exportar

Crear un libro

Descargar como PDF

Versión
para imprimir

Herramientas

Lo
que enlaza aquí

Cambios
en enlazadas

Subir
archivo

Páginas
especiales

Enlace
permanente

Citar
este artículo

En otros idiomas

العربية

Azərbaycanca

Български

Česky

Dansk

Deutsch

Ελληνικά

English

Eesti

Euskara

Suomi

Français

Galego

עברית

Hrvatski

Հայերեն

Italiano

日本語

Qaraqalpaqsha

한국어

Latviešu

Nederlands

‪Norsk (bokmål)‬

Polski

Português

Română

Русский

Simple English

Slovenščina

Svenska

Українська

Tiếng Việt

中文

Esta página fue modificada por última vez el 9 sep
2010, a las 16:44.

El texto está disponible bajo la Licencia Creative
Commons Atribución Compartir Igual 3.0; podrían ser aplicables cláusulas
adicionales. Lee los términos de
uso para más información.

Política
de privacidad

Acerca de
Wikipedia

Descargo
de responsabilidad